已设resave为true但Session ID仍变更，客户端未更新Cookie过期时间

核心错误点 #

• 手动设置connect.sid Cookie的问题：connect.sid是express-session生成的签名Cookie，格式为s:会话ID.签名串。你直接用req.sessionID（原始未签名ID）调用res.cookie，服务器会因为签名不匹配判定会话无效，直接生成新的Session ID，导致Cookie反复变化。
• resave: true的作用误解：resave: true仅强制将Session数据同步到Redis存储，不负责刷新客户端Cookie的过期时间。express-session默认仅当Session对象被修改时，才会重新发送Cookie到客户端更新过期时间。如果你的请求未修改Session，即使resave: true也不会触发客户端Cookie更新，等客户端Cookie过期后，服务器会创建新会话。

正确解决方案 #

方案1：开启自动Cookie刷新（推荐）

在Session配置中添加rolling: true，该选项会在每次请求时自动刷新客户端Cookie的过期时间，无需手动修改Session：

const sessionMiddleware = session({
  store: new RedisStore({
    client: clientRedis,
  }),
  secret: SESSIONSECRET,
  resave: true,
  saveUninitialized: true,
  rolling: true, // 开启每次请求刷新Cookie过期时间
  cookie: {
    maxAge: 30000,
    secure: false,
    httpOnly: true,
    domain: config.get('app.domainecookie')
   }
});

同时删除手动设置res.cookie('connect.sid')的中间件，让express-session自行处理Cookie的生成与刷新。

方案2：手动触发Session修改

如果不想每次请求都刷新Cookie，可在请求中手动修改Session的某个属性，触发express-session重新发送Cookie：

app.use((req, res, next) => {
  console.log(`CURRENT SESSION: ${req.session.id}`);
  // 修改Session属性，触发Cookie刷新
  req.session.lastActive = Date.now();
  next();
});

每次请求修改Session后，express-session会自动将带有新过期时间的Cookie发送到客户端，同步服务器端的Session有效期。

额外检查项 #

• 验证Redis连接状态，通过KEYS "sess:*"命令查看存储的Session数据，确认Session ID是否正常存在。
• 检查cookie.domain配置是否与客户端域名匹配，域名不匹配会导致Cookie无法正常保存。
• 若无需存储未初始化的Session（如未登录用户的会话），可将saveUninitialized设为false，减少无效存储。

内容的提问来源于stack exchange，提问作者djcaesar9114